Presentation Title

Kompjuterski kriminalitetPuhari Predrag1Paket alata forenziaraKoristiti alate sa statiki povezanim bibliotekama, ukoliko se moraju koristiti dinamiki povezani alati, prije svake upotrebe uraditi detaljnu sliku sistema sa svim procesima i generisati hash vrijednosti biblioteka.Ne koristiti (osim u specifinim situacijama) alatke i naredbe nativne ispitivanom sistemu.

2Paket alata forenziaraOsnovni metodoloki koraci pri kreiranju seta alata su:Kreirati forenziki testni sistemOdluiti o korienom OS-uSanitizovati sistemInstalirati softverPostaviti najnovije zakrpe i popravkeGenerisati hash vrijednostiInstalirati monitor integriteta datotenog sistema3Paket alata forenziaraDokumentovati testni sistemTip OS-aVerzija OS-a (npr. kernela)Broj i vrsta aplikacijaBroj i vrsta zakrpi i popravkiMD5 hash vrijednosti DLL/dijeljenih bibliotekaDokumentovati i postaviti forenzine alatkeDetaljno dokumentovati alatkeKreirati terenski sistemski disk

4Paket alata forenziaraTestirati alatkeInstalirati pomone programe za analizuProvesti statiku analizuProvesti dinamiku analizuSve rezultate unijeti u dokumentaciju

5Tipovi istrageInterna istragaIstraga u krivino-procesnom smislu

Kada govorimo o vjetaenju raunara moemo govoriti o dva tipa istrage: internoj istrazi i istrazi u krivino-procesnom smislu. Izmeu ova dva tipa istrage postoji veliki broj slinosti (prije svega u metodologiji), ali i odreene razlike. Prije pokretanja istrage potrebno je donijeti odluku da li e se nastaviti inicjalna interna istraga ili je neophodno obavijestiti slube za provoenje zakona.

6Kompjutersku forenziku moemo definisati kao ouvanje, identificiranje, izvlaenje, dokumentiranje i intepretaciju kompjuterskih medija za dokaznu i/ili uzronu svrhu.

Kompjutersku forenziku moemo definisati kao ouvanje, identificiranje, izvlaenje, dokumentiranje i intepretaciju kompjuterskih medija za dokaznu i/ili uzronu svrhu7Procjena situacije i preuzimanje sluajaObavjetavamo nadlene i traimo dozvolu za dalji rad, Konsultujemo se sa zakonskim obavezama i politikom kompanije,Identificiramo lanove tima (ukoliko nam je dodijeljen),Zvanino preuzimamo sluajPripremamo se za prikupljanje dokaznog materijala.

Dakle, prvi korak koji preuzimamo je procjena situacije i preuzimanje sluaja:Obavjetavamo nadlene i traimo dozvolu za dalji rad, Konsultujemo se sa zakonskim obavezama i politikom kompanije,Identificiramo lanove tima (ukoliko nam je dodijeljen),Zvanino preuzimamo sluajPripremamo se za prikupljanje dokaznog materijala.8Prikupljanje dokaznog materijalaOdreujemo alate koje emo koristiti,Prikupljamo podatke,uvamo i arhiviramo prikupljene podatke.

Sljedea faza je prikupljanje dokaznog materijala:Odreujemo alate koje emo koristiti,Prikupljamo podatke,uvamo i arhiviramo prikupljene podatke.9AnalizaAnaliza mrenih podataka,Analiza podataka na vjetaenom raunaru,Analiza medija za pohranu.

Nakon prikupljanja podata slijedi analiza:Analiza mrenih podataka,Analiza podataka na vjetaenom raunaru,Analiza medija za pohranu.

10IzvjetavanjePrikupljanje svih rezultata analize svih lanova tima,Izrada izvjetaja.

Konana faza istrage (sa stanovita istraitelja) je izvjetavanje:Prikupljanje svih rezultata analize svih lanova tima,Izrada izvjetaja.

11Alati za kompjutersku forenziku

Ukoliko se radi o internoj istrazi, moemo rei da e se u preko 90% sluajeva raditi o windows okruenju. Paket alata koje emo koristiti u ovoj vrsti istrage je Windows Sysinternals koji su razvili Mark Russinovich and Bryce Cogswell. Ovdje emo tabelarno predstaviti osnovne karakteristike ovog paketa, a za detaljno upoznavanje i diskusiju sa drugim korisnicima IT profesionalcima preporuljivo je koristiti se zvaninim forumom. Sliica pored naziva oznaava alatku koja se izvodi iz komandne linije i ne utie na tvrdi disk vjetaenog raunara, a sliica oznaava alatku koja radi kao windows aplikacija te ju je potrebno instalirati prije koritenja.12

Interni Windows alati

I sa samim windowsima dolazi veliki broj alata koje moemo iskoristi u forenzike svrhe. Takoer na stranicama Microsofta se nalazi odreen broj besplatnih alata koji nam mogu pomoi u istrazi. 14Profesionalni paketiEnCase ForensicHelix Forensic

U toku zvanine obrade raunara mora biti zajameno da nijedan podatak nee biti kompromitovan, te da u procesu pronalaenja dokaza nijedan bit podataka na memorijskim jedinicama nee biti izmijenjen. U tu svrhu potrebno se koristiti dokazanim i provjerenim, te priznatim alatima za kompjutersku forenziku. Kao najraireniji u praksi pojavljuju se dva alata (bolje reeno skupovi alata): EnCase Forensic i Helix Forensic. 15